第四十二章：阈值说明书（2 / 2）
截图不够完整，真实性需要核对，但它提供了一个极强的方向：**窗口从15分钟降到5分钟**。这意味着触发条件被大幅放宽，跨区回退更容易发生。更要命的是“EffectiveTi:19:10”——这几乎与19:20通知邮件、19:35-19:45证书更新实施窗口处在同一个时间段。
如果这个变更属实，那么“延迟劣化Level2”就不再只是网络波动，它更像是被“阈值设置”刻意放大：把窗口缩短，轻微波动更容易被判定为劣化，从而触发回退。
林昼没有兴奋。他的第一反应是冷：这条链如果是真，就意味着对方并非被动接受波动，而是主动把回退更容易触发。主动意味着意图——哪怕意图是“保障投递成功”，也会带来合规问题；如果意图更深，那就更危险。
法务问林昼：“这封匿名邮件能用吗？”
林昼说：“能用来定方向，不能当证据。证据必须从监管渠道调取原始快照与变更单附件核对。我们可以把‘ProbeWdow从15到5’作为问询点，要求供应商说明是否调整过窗口。让他们自己在书面里承认或否认。”
法务点头，立即把匿名邮件作为“线索材料”单独封存，并在备注里写明来源不明、仅供监管研判，不用于公开指控。
林昼补了一句：“把‘APACfallbackoverride’也写进问询点。只要他们否认，我们就逼他们提供原始快照。原始快照不给，就让第三方提供策略版本变更记录摘要。平台一定有版本轨迹。”
法务看着他：“你很确定平台有版本轨迹？”
林昼答：“他们说‘DynaicRoutgPolicyv2.7’，版本这个词出现了，轨迹就一定存在。没有轨迹，就无法运维。没有轨迹，就无法审计。没有审计，他们就不可能给医疗场景托管。”
这不是猜测，是系统工程常识。
---
下午四点，监管的动作比林昼预想更快。
监管把匿名线索的问询点融入正式补充函：要求供应商说明是否在转运前后调整过探测评估窗口（ProbeWdow）与等级触发参数，并要求提供变更单附件中对应字段的原始截图或导出记录，附时间戳与操作者账号哈希。监管在函件里写得很硬：若拒绝提供，将视为重大审计缺口并建议启动更高等级的专项检查。
供应商的回应几乎立刻到来，但措辞谨慎：“我们存在策略参数的周期性调优，属于系统稳定性维护。具体参数不便披露，但可提供合规范围内的摘要。”
监管回得更短：“提供‘是否从15分钟调整为5分钟’的确认与生效时间。仅此而已。若不能确认，说明无法审计。”
这句“无法审计”像一把刀，直接切到要害。医疗场景里，“无法审计”比“性能不佳”更致命。
---
傍晚六点，父亲醒来得更久一些。
林昼推开病房门，父亲眼神比昨夜清晰，盯着他看了几秒，似乎终于认出来。父亲声音嘶哑：“你……还在弄那些？”
林昼把水杯递过去，让父亲慢慢喝。等父亲缓过气，他才说：“我在把事情写清楚。不是吵。”
父亲皱了皱眉：“写清楚有什么用……他们人多。”
林昼看着父亲的眼睛，语气不重，但很稳：“人多不等于流程多。流程一旦被写清楚，谁签的字、谁开的开关、谁决定不启用围栏，就会被看见。被看见，他们就不敢把风险当惯例。”
父亲沉默了很久，像在跟自己的恐惧拔河。最后，他低声说：“别把自己搭进去。”
林昼点头：“我不会。我走监管，我走程序。我不碰他们的秘密，我只要能审计的边界。”
父亲眼皮微微颤了一下，像是勉强接受，却仍担心。
林昼没有再劝。他知道父亲这一代人的经验里，“别惹事”不是懦弱，是求生。但他也知道：如果所有人都只求生，规则就永远不会为弱者改。
规则不改，下一次就会有人用命换“恢复”。
---
晚上八点半，第三方平台送来第二份签章材料：**等级定义摘要与可配置项说明**。
材料里没有具体毫秒阈值，但明确写了三点：
*Level2的判定基于“评估窗口内的综合探测指标达到中级劣化区间”；
*评估窗口默认值可配置，常见配置为5/10/15；
*租户可配置“回退触发等级”“区域优先级序列”“地理围栏开关”，并可在特殊时期启用“临时覆盖（Override）”。
“临时覆盖（Override）”这几个字，让林昼的手指不自觉地收紧。匿名邮件提到“APACfallbackoverride”，第三方材料里出现“Override”这个词，形成了呼应。呼应不代表匿名邮件为真，但它证明了这种能力存在。
能力存在，就意味着可能性存在。可能性存在，就必须核对是否使用过。
林昼立刻把重点发给梁组长：“第三方确认Override能力存在且由租户启用。请监管要求供应商提交转运前后是否启用Override的记录摘要（是/否、生效时间、审批角色）。同时要求提供ProbeWdow实际配置值与变更轨迹摘要（不含数值阈值，仅窗口长度与变更时间戳）。”
梁组长回：“监管已在推进。供应商今晚可能会提交Level2说明书与策略变更摘要。”
林昼没有放松。他知道对方会提交，但提交的内容会尽可能“安全”：给你概念，不给你轨迹；给你定义，不给你变更；给你结论，不给你时间戳。可现在监管已经把问询点钉在“15分钟到5分钟”的具体对照上，钉在“Override是否启用”的是非问题上。是非问题最难用概念糊弄。
---
夜里十一点，供应商终于提交了“Level2阈值说明书（摘要版）”与“策略变更轨迹摘要”。
说明书写得像教科书，充满术语，但在最关键的地方出现了一个无法回避的表格：
*ProbeWdow：15（常规）
*ProbeWdow（关键期）：5（临时）
*生效时间：转运前一日19:08
*失效时间：转运当日03:10
*调整原因：保障投递成功与降低延迟抖动影响
*审批角色：运维经理（时间戳存在但被遮了一半）
*Override：启用（范围：APAC回退优先级提升，说明：紧急保障）
林昼看到“19:08生效、03:10失效、Override启用”这几行，脑子里像有一盏灯瞬间亮了。
19:08——比19:20通知邮件更早。
03:10——比02:18回滚更晚一点点。
也就是说，在02:18回滚发生时，“关键期5分钟窗口”与“Override启用”仍在有效期内。
这意味着：当夜的跨区回退不是偶发，是被“关键期策略”包裹着的结果。更重要的是，所谓“关键期”，是谁定义的关键？为什么关键期覆盖到凌晨三点？是为了保障变更窗口？还是为了保障某个更隐秘的操作？
如果这个关键期是为了证书更新与热修复逐步生效，那么它本质上是在为变更风险兜底：把触发跨区回退变得更容易，以确保邮件投递“成功”，哪怕路径跨区、哪怕审计复杂、哪怕合规边界变模糊。
而02:18的回滚触发E-PV-214，同样发生在这个“关键期”覆盖范围内。这两条线在时间上重叠，说明当夜的系统并非处在常规稳态，而是处在一套临时策略与临时证书链更新叠加的“脆弱态”。
脆弱态里，任何异常都会被放大，任何回滚都会被合理化。
林昼没有马上下结论。他把表格抄了一遍，重点圈出“审批角色：运维经理”。审批角色与证书更新变更单里出现过的审批角色高度一致——安全负责人/运维经理。链条开始回到同一批人、同一套习惯、同一个窗口。
他把这份摘要的关键点递给法务：“这不是算法，这是事实：窗口从15变5，Override启用，且覆盖到03:10。监管可以据此问：为什么必须启用Override？有没有医疗场景评估？有没有向医院告知？为什么失效时间是03:10？02:18回滚是否发生在该关键期策略之下？这会把‘自动化’拉回‘人为策略’。”
法务点头，眼神却比白天更凝重：“这份摘要如果属实，供应商的合规压力会很大。他们会反扑更狠。”
林昼说：“反扑越狠，越说明我们钉到了核心。”
他说完这句话，才发现自己声音里没有愤怒，只有疲惫后的冷静。冷静不是麻木，而是一种确定：他正在把一套“惯例”拆成可问责的选择。
他把今天的新增节点写进索引，写到最后一行时停住，像在给下一步定靶：
*ProbeWdow：15→5（19:08生效，03:10失效），关键期策略存在
*Override：启用（APAC回退优先级提升），审批角色：运维经理
*关键期覆盖02:18回滚时段，需核对两事件关联性
*关键问询：为何启用Override、为何不启用地理围栏、为何未在通知邮件中明确告知、医疗场景评估依据与审批链条（时间戳/账号哈希）
*下一步：调取原始快照与变更单附件（含操作者账号哈希、完整时间戳），核对是否存在人为触发或特殊操作窗口
写完，他合上文件夹，走到窗边看夜色。城市的灯还在，但比昨夜更冷。冷不是坏事，冷能让人保持清醒。
林昼在心里把这一天压成一句话：
“阈值一旦被调低，所谓波动就不再是借口；关键期一旦被定义，谁定义、为谁定义、覆盖了什么，就必须写进责任链。”
.